¿Cómo puedo modificar los permisos para que un usuario o rol de IAM no pueda configurar Amazon SageMaker Canvas?

Resolución

Para modificar los permisos de modo que una identidad de IAM no pueda configurar una aplicación de SageMaker Canvas, cree una política de IAM que deniegue los permisos.

Para adjuntar la política de IAM al rol de ejecución de SageMaker, siga estos pasos:

1. Abre la consola de IAM.

2. En el panel de navegación, elija Políticas.

3. Seleccione Crear política y, a continuación, seleccione la pestaña JSON.

4. Introduzca la siguiente política de IAM en el editor de políticas:

   {  "Version": "2012-10-17",
     "Statement": [
       {
         "Sid": "AllowSageMakerCreateAppOperations",
         "Effect": "Allow",
         "Action": "sagemaker:CreateApp",
         "Resource": "*"
       },
       {
         "Sid": "DenySageMakerCanvasCreateApp",
         "Effect": "Deny",
         "Action": "sagemaker:CreateApp",
         "Resource": "arn:aws:sagemaker:example-region:1111222233334444:app/example-domain/example-user-name/Canvas/*"
       }
     ]
   }

   Nota: En la política anterior, sustituya example-region por su región de AWS 1111222233334444 y 1111222233334444 por su ID de cuenta de AWS. Además, sustituya example-domain por su ID de dominio de SageMaker Studio y example-username por el nombre de su perfil de usuario de SageMaker Studio.

5. Resuelva las advertencias de seguridad, los errores o las advertencias generales generadas durante la validación de la política y, a continuación, elija Revisar política.

6. Elija Siguiente: Etiquetas.

7. En la página Revisar política, introduzca un nombre y una descripción opcional para la política.

8. Revise el resumen de la política y, a continuación, elija Crear política.

9. En la lista de políticas, seleccione su política.

10. Elija la pestaña Uso de la política y, a continuación, elija Adjuntar.

11. En la lista de usuarios y roles de IAM, seleccione el rol de ejecución de SageMaker para el usuario de Studio.

12. Elija Adjuntar política.

Si el usuario de IAM intenta configurar una aplicación de SageMaker Canvas después de adjuntar la política de IAM, recibirá el siguiente error:

«SageMaker is unable to use your associated ExecutionRole [SageMaker Studio User Execution Role] to create app. Verify that your associated ExecutionRole has permission for 'sagemaker:CreateApp'.»